Visão geral da residência de dados

Visão geral

Nesta página, explicamos como usar o Cloud SQL para aplicar requisitos de residência de dados.

Residência de dados refere-se à localização física dos dados e às regulamentações locais que regem como você armazena, criptografa e acessa esses dados. À medida que as proteções de dados e os regulamentos de privacidade dos países evoluem, é cada vez mais importante que você entenda como seguir os requisitos de residência de dados locais e proteger os dados dos usuários.

Em um ambiente local tradicional, vários componentes integram e gerenciam a residência de dados. Por exemplo, uma empresa pode hospedar um gateway de tokenização como um agente de segurança de acesso à nuvem (CASB, na sigla em inglês) para proteger os dados do aplicativo antes que eles sejam transmitidos para o exterior.

O Google Cloud e seus serviços, incluindo o Cloud SQL, se integram para ajudar você a lidar com a residência de dados, controlando o local dos dados e o acesso a eles, pelo Google ou por qualquer pessoa.

Residência de dados na computação em nuvem

Veja a seguir alguns problemas de residência de dados que você precisa conhecer:

  • Se os administradores de uma empresa não conhecem o local físico dos dados, eles não conhecem os regulamentos locais. Para pesquisar as políticas de residência de dados de cada local, os administradores precisam saber onde os data centers estão.
  • Os administradores e provedores de nuvem da empresa podem usar contratos de nível de serviço (SLAs) para estabelecer locais permitidos. No entanto, e se você precisar armazenar os dados em uma região diferente dos termos do SLA?
  • Os usuários precisam garantir que os dados e todos os serviços e recursos usados nos projetos na nuvem sigam as regulamentações de residência de dados do país host.
    • O que fazer se você quiser decidir onde armazenar os dados e as chaves de criptografia?
    • O que acontece se você quiser determinar os locais em que os usuários podem acessar os dados?

Os serviços do Google Cloud, incluindo o Cloud SQL, resolvem alguns desses problemas permitindo que você:

  • Defina o local de armazenamento dos dados. É possível selecionar a região ao criar sua instância do Cloud SQL ou editar a região editando uma instância atual.
  • Use o recurso de réplica de leitura entre regiões para o Cloud SQL para ajudar a atender aos padrões de residência de dados de uma região designada.
  • Controle os locais de rede em que os usuários podem acessar dados, além de controlar o acesso dos administradores da nuvem a esses dados.

O Cloud SQL pode ajudar você a lidar com os desafios de residência de dados em três áreas:

Armazenar dados

A residência de dados envolve o armazenamento de informações de identificação pessoal (PII, na sigla em inglês) em uma determinada região, onde esses dados são processados de acordo com os regulamentos da região.

Para armazenar dados, você precisa atender às demandas legais e regulamentares de um país, como as leis locais de dados. Por exemplo, um país pode exigir que todos os dados relacionados ao governo sejam armazenados nele. Ou ainda, uma empresa pode ter a obrigação contratual de armazenar dados de alguns clientes em um país diferente. Portanto, uma empresa precisa atender aos requisitos de residência de dados do país em que os dados são armazenados.

Com o Google Cloud, é possível configurar onde seus dados são armazenados, inclusive em backups. Isso inclui permitir que você escolha as regiões onde os dados serão armazenados. Quando você opta por configurar recursos nessas regiões para o Cloud SQL, o Google armazena os dados em repouso somente nessas regiões, de acordo com nossos Termos específicos do serviço. É possível selecionar a região ao criar sua instância ou editá-la editando uma instância atual.

Para mais informações sobre locais de backup, consulte Locais de backup personalizados.

É possível usar restrições da política organizacional para impor requisitos de residência de dados no nível da organização, do projeto ou da pasta. Essas restrições permitem definir os locais do Google Cloud em que os usuários podem criar recursos para os Serviços com suporte. Para residência de dados, é possível limitar a localização física de um novo recurso com a restrição de locais de recursos. Também é possível ajustar as políticas de uma restrição para especificar várias regiões, como asia e europe, ou regiões como us-east1 ou europe-west1, como locais permitidos ou negados.

Se houver uma interrupção em uma região do Google Cloud, evite o impacto usando o recurso réplica de leitura entre regiões para o Cloud SQL. Como parte da criação de uma réplica de leitura, você precisa escolher a região da réplica. Escolha uma região que esteja em conformidade com os regulamentos de residência de dados. Como resultado, os padrões de residência de dados são atendidos na região selecionada.

Ao criar a réplica, você cria uma cópia da instância principal do banco de dados que reflete as alterações na principal quase em tempo real. Se houver uma falha, promova a réplica de leitura a uma instância principal.

O VPC Service Controls ajuda a aplicar a residência de dados, permitindo que você restrinja o uso de APIs do Cloud SQL para importar e exportar dados usando a API Cloud SQL Admin ou a API Cloud Storage. Essa restrição ajuda a garantir que os dados permaneçam nos locais de rede selecionados. Com o VPC Service Controls, é possível criar um perímetro de serviço que define os limites virtuais de onde um serviço pode ser acessado, evitando que os dados sejam movidos para além desses limites. É possível aplicar essa restrição mesmo se o usuário estiver autorizado de acordo com a política do Google Cloud IAM.

Criptografar dados

Os serviços do Google Cloud, incluindo o Cloud SQL, criptografam o conteúdo do cliente em repouso e em trânsito usando vários métodos de criptografia. O processo de criptografia é automático, e nenhuma ação é necessária por parte do cliente.

O Cloud SQL também permite adicionar outra camada de criptografia aos dados usando chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês). As CMEKs são destinadas a organizações com dados confidenciais ou regulamentados que exigem o gerenciamento das próprias chaves de criptografia. Com o recurso de CMEK, você pode usar as chaves criptográficas pertencentes a você nos dados em repouso no Cloud SQL. Depois de adicionar as CMEK, sempre que uma chamada de API for feita, o Cloud SQL usará suas chaves para acessar dados.

Se você quiser armazenar a CMEK nas regiões em que implanta os serviços, use o Cloud Key Management Service (Cloud KMS). Você define o local da chave ao criá-la. Ou, para armazenar essas chaves em um módulo de segurança de hardware físico (HSM, na sigla em inglês) localizado na região escolhida, use o Cloud HSM.

Outra maneira de escolher onde armazenar as CMEK é usar um produto terceirizado. Para armazenar e gerenciar chaves em um produto de gerenciamento de chaves terceirizado que é implantado fora da infraestrutura do Google, use o Gerenciador de chaves externas do Cloud (Cloud EKM, na sigla em inglês).

Acessar dados

Com o Cloud SQL, é possível controlar quais usuários podem acessar seus dados.

Para controlar o acesso do Google à equipe de suporte e engenharia, use a Aprovação de acesso. A aprovação de acesso permite que os funcionários do Google recebam aprovação explícita antes de acessar os dados ou configurações no Google Cloud. Para exclusões, consulte Exclusões da Aprovação de acesso.

A aprovação de acesso complementa a visibilidade fornecida pela Transparência no Acesso, que gera registros de auditoria quase em tempo real quando os administradores do Google interagem com os dados. Os registros de auditoria incluem o local do escritório do administrador e o motivo do acesso. Também é possível aplicar atributos específicos aos administradores que têm acesso aos dados ou configurações, incluindo a região geográfica e outros atributos relevantes de conformidade.

As justificativas de acesso às chaves se integram ao Cloud KMS e ao Cloud EKM. Cada vez que uma chave é solicitada para criptografar ou descriptografar dados, as justificativas de acesso a chaves fornece uma justificativa detalhada, além de um mecanismo para você aprovar ou negar o acesso a chaves usando uma política automatizada definida por você.

Ao usar a Aprovação de acesso, a Transparência no Acesso e as Justificativas de acesso às chaves com o Cloud KMS e o Cloud EKM, é possível negar ao Google a capacidade de descriptografar seus dados. Como resultado, você é o árbitro de acesso aos seus dados.

A seguir